セキュリティ脅威情報

Windows版Google ChromeのUpdaterにおいて、解放済みメモリを使用する（Use-after-free）脆弱性が存在します。攻撃者が細工されたHTMLページを介してレンダラープロセスを乗っ取った場合、サンドボックスから脱出される可能性があります。CVSSスコアは9.6と極めて高く、ブラウザのセキュリティ境界を突破されるリスクがあるため、早急な対応が必要です。

Prefectのバージョン3.6.23において、GitRepositoryストレージクラスの処理に不備があり、コードインジェクションの脆弱性が存在します。具体的には、gitコマンドに渡されるcommit_shaパラメータやdirectoriesパラメータの検証が不十分であり、攻撃者が任意のgitフラグを注入可能な状態です。これにより、展開作成権限を持つユーザーがワーカーマシン上で任意のコマンドを実行できるリモートコード実行が可能となります。特にマルチテナント環境において、共有ワークプールが侵害されるリスクがあるため、非常に深刻な脆弱性です。

pgAdmin 4のサーバーモードにおいて、SQLエディタ関連の2つのエンドポイントに認証デコレーターが欠如している問題がある。これにより、認証されていない状態でも特定の処理が実行可能となる。本脆弱性は、信頼されていないデータの逆シリアル化（CWE-502）と認証の欠如（CWE-306）に起因する。攻撃者がFlaskのSECRET_KEYを所有し、かつセッションディレクトリへの書き込み権限を持つといった高度な前提条件を満たした場合、リモートコード実行が可能となり、pgAdminを実行するアカウントの権限で任意のコードが実行される恐れがある。

フィッシング対策協議会は、国内ISPから漏えいした認証情報が不正利用され、フィッシングメールが送信されていると発表しました。攻撃者は乗っ取ったメールアカウントを悪用しており、今後も類似の攻撃が発生する可能性があるとして注意を呼びかけています。

常石グループは、2025年10月に発生したフィッシングメールによる認証情報漏えいおよびメールアカウントの不正利用事案について、その後の対応状況と再発防止策を公表しました。現在は追加の被害は確認されておらず、多要素認証（MFA）の義務化などを進めています。

日本資産総研は、5月に発生したランサムウェア攻撃に関する第2報を発表しました。同社および子会社のサーバでデータ暗号化と窃取の可能性が確認されており、詳細な調査と復旧対応が継続されています。現在は安全が確認された端末から順次復旧し、通常営業を再開しています。